下载APP
关闭
渠道合作
推荐作者
14 | 自动化注入工具：sqlmap的设计思路
2022-01-19 王昊天
《Web漏洞挖掘实战》
你好，我是王昊天。
从古至今，人们为了方便自己的生活，发明出各种各样的工具。就拿扫地来说，这是我小时候最讨厌的家务活动，因为扫地时扬起的灰尘会让我十分难受，而且有的死角很难被打扫干净。扫地机器人的出现给我们带来了极大的便利，我们只要拥有它，就不需要再亲自扫地了。
在前几节课中，我们学习了 SQL 注入的原理和方法，相信你已经小试牛刀了。不知道你在做注入测试的时候是否会觉得困难呢？反正我学的时候是遇到了不少困难，比如，绕过技巧多种多样，我们几乎不可能全部记住它们，就算记住了我们一一去尝试也需要很多的时间，费时又伤神。
就像我们刚才说过的，当问题出现时，我们常常会创造出一种工具，来解决对应的问题。那么有没有一款工具，能帮我们自动去进行注入测试呢？答案是肯定的，这个工具就是 sqlmap。
这节课呢，我们正式开启 sqlmap 学习之旅，深入探究这款自动化注入神器的实现原理。首先我们要对一些知识有所了解，包括如何获取软件的代码，如何搭建软件的运行环境，以及软件文件功能等。接下来，我们会对 sqlmap 的工作流程做一个整体的介绍，这会为我们后续学习 sqlmap 打好基础。
sqlmap
我们先来看看到底什么是 sqlmap。
sqlmap 是一个帮助我们自动检测 sql 注入是否存在的测试工具，它会使用不同注入方法进行测试，并将测试结果展示给我们，供我们利用。这些方法都是我们之前学过的内容，包括联合注入、时延注入、布尔盲注、报错注入和堆查询注入。如果你感兴趣，可以去上节课寻找更加详细的介绍。
因为它的持续更新和维护，所以大家普遍认为它既方便又好用，从图片中我们可以看到超过 4k 的 fork 数量，以及高频的源码更新。就像一枚硬币的两面，这种优势也会伴随一些问题，比如给我们阅读源代码增加了难度，而我们要想真正去理解、掌握这款工具，就必须要迎难而上，对它的源代码进行剖析。
代码获取
我们用如下命令将 sqlmap 的源代码克隆下来。
因为该过程需要访问外网，所以克隆的速度会较为缓慢，当然我们可以借助一些代理工具来加速这个过程。
这里我们分析的 sqlmap 版本是最新的版本 1.6，它于 2022 年初发布，相比于上一代 1.5.12 版本，只是修复了几个编码异常，并且替换版本信息，并没有什么重大的改动。因此学习两个大版本的代码都是可以的。
在获取到源代码之后，我们还需要配置软件的运行环境，这样 sqlmap 才能顺利的运行。下面让我们进入到环境搭建这一步骤。
环境搭建
这节课，我们采用的分析环境是 python3.10.1，可以利用下面的命令新建一个虚拟的解释环境，这样做有利于运行环境的隔离，防止其他环境因素干扰 sqlmap 的执行过程。
配置文件
在做完环境搭建之后，sqlmap 已经具有运行能力了。但是我们还需要知道哪个文件才是它的配置文件，即哪个文件会对它的运行产生影响。所以呢，接下来我们就来看看，sqlmap 中有哪些重要的文件，它们又有哪些功能。
首先我们一起看下 sqlmap 的配置文件sqlmap.conf：
由于配置文件很长，所以这里没有全部展示出来。我们需要知道的是，配置文件的参数配置可以对 sqlmap 程序运行的流程产生影响。举个例子，在配置文件中可以设置 OS 配置项，sqlmap 就无需探测操作系统的类型了，这样就可以帮助我们在一些特定情况下优化 sqlmap 的执行速度。
看完配置文件之后，我们回忆一下之前学过的内容，在做 sql 注入时，都需要经历哪些步骤呢？
我们知道，一般来说 sql 注入攻击可以分为三步，首先是寻找注入点，之后要选择闭合参数的位置，最后要根据需求选择合适的 payload，来实现我们的注入攻击操作。
sqlmap 和手动 sql 注入的思想是相似的，程序可以直接从请求的参数中获取到注入点位置的信息，而闭合参数的位置和 payload 的选择则会因为它们的多样性变得略微复杂，下面就让我们一起来看看与之相关的两个配置文件。
我们先来看 sqlmap 中闭合参数的配置内容，这里举个例子帮助你来理解什么是闭合参数。以一个典型的 SQL 注入语句为例：
想要对其进行注入，就需要将 name 参数闭合，这在前两节课中有过较深入的探讨。
对于 sqlmap 而言，data.xml.boundaries.xml 就是用于闭合参数的配置文件，通过该文件我们可以确定闭合元素的字符和位置等等信息，了解该文件有助于我们理解 sqlmap 真正发送的测试 payload 的格式，关于 payload 格式这部分的内容我们会在下一讲具体的讲解。
而关于 payload 这一部分，就让我们看一看 sqlmap 中 payload 的配置文件夹，data.xml.payloads/。这个文件夹储存有不同注入攻击类型的 payload 信息。
该文件夹下的每一个文件都与程序中一个重要的结构 test 息息相关，它是一个 payload 的基本信息单元，每个 test 里面包含了一个完整的 payload 需要的信息， sqlmap 发送的攻击载荷就是在此基础上进行加工得出的，如下代码就是这个文件夹下的boolean_blind.xml文件的部分内容，这里我们选取了完整的 test 结构方便你了解。
可以看到它的结构内部定义攻击类型、方式、生效位置、关联数据库等等信息。
至此，我们大致了解了 sqlmap 工作的底层依赖。下一步只需要分析和掌握 sqlmap 的运行过程，日后在使用中我们就可以更加得心应手。
sqlmap 作为一个规模较大的工具，在启动过程中首先会执行一些初始化操作，下面就让我们一起学习 sqlmap 的初始化过程，通过这部分内容你可以明白 sqlmap 在启动之初做了哪些事情。
初始化过程
sqlmap 的初始化过程包含四个步骤：环境初始化、命令行参数的解析、全局变量的赋值，以及运行环境的检查。我们将结合代码和图片注释，顺着 sqlmap 代码运行的顺序，详细讲述每一个步骤。下面让我们从环境初始化开始吧。
环境初始化
首先我们会发现，sqlmap 的入口文件是 sqlmap.py，这个文件的 main 如下所示：
根据 main 函数的名字，我们可以知道，程序的核心逻辑一定被封装在了 mian 函数里面。因此，我们可以进入到 mian 函数里查看。
进入到 mian 函数之后我们就会发现，环境初始化初始化过程的代码就在这里，该过程引入了两个重要数据容器的映射 conf 和 kb。他们都是全局的环境变量，是存储程序运行中间数据和信息数据的容器，其中 sqlmap 的结果信息、注入信息、控制信息都是通过它们进行读写来完成程序的执行的。这部分内容我们会在下节课展开。
在这里，为了你更好地理解它们，我们先来看看这两个数据结构是什么，这里我们可以找到 lib.core.data.py 文件进行观察。
可以发现，这两个数据结构是作者自己封装的函数，封装的主要目的是实现深拷贝（__deepcopy__ ）这个魔法函数。通过这种方式，Python 内容数据的拷贝操作会被大大优化。
接下来我们继续观察 main 函数。
我们可以看到，程序在进入到 try 语句之后，首先会执行几个函数。
第一个函数是 dirtyPatches() ，它是一个补丁函数。
之所称它为补丁函数呢，是因为这个函数功能，主要用来处理 sqlmap 的一些历史信息。例如支持 Python2 升级 Python3、支持 Windows 平台的 inet_pton() 函数、限制 httplib 的最大行长度等等。这些操作对 sqlmap 的实际功能影响并不是特别大，属于保证用户体验和系统设置的正常选项，我们不需要过多关心。
接下来是 resolveCrossReferences 函数，它的作用是消除交叉引用。我们通过下面这个示例理解下什么是交叉引用。
sqlmap 在消除交叉引用之后，程序会开始运行检查环境的函数 checkEnvironment()。
checkEnvironment 函数会对当前的环境进行初步检查，检查的内容包括，存放 sqlmap 的路径是否包含非 ASCII 字符，以及 sqlmap 的版本是否小于 1.0。
下一个函数setPaths(modulePath())是用来给项目中的文件夹和文件设置绝对路径的。
设置完绝对路径后我们可以看到，sqlmap 运行了一个 banner 函数，它对于 sqlmap 的运行没有实际的作用，但是作者可以通过 banner 函数绘制一幅字符画，是不是很酷！
下方是 banner 函数的代码，你在构建自己工具的时候也可以考虑引入这种有趣的小函数，为你的工具增添个性化色彩，让它看起来又酷又实用。
命令行参数解析
经过上面的函数执行之后，基本环境已经配置好了，程序将开始处理用户的输入，包括有命令行参数以及配置的文件参数。
全局变量赋值与环境检查
在接收用户的输入参数之后，程序开始进入 init 方法，这个方法是一个重要的前期配置方法，里面包含大量的配置操作，这些操作我们可以进入函数中观察。
其实我们只需要根据后面的注释，了解每个函数大概实现的功能就可以了，它们有些与初始化配置文件相关，有些与实际攻击过程相关。实际上，这里只是会初步解析命令行传入的参数，并不涉及到大部分函数的调用过程，在这里我们不需要理解的很细致，我们的核心关注点应该在注入逻辑上。
学习完毕 init 方法之后，我们就完成了整个初始化过程。
总结
这节课，我们学习了自动化 SQL 注入测试工具–sqlmap 的设计思路。
作为业内知名且常用的 SQL 自动化注入工具，sqlmap 已经持续维护了超过 10 年的时间。作为有梦想的工程师，我们不仅需要掌握如何使用 sqlmap，更要学习它的设计思想和工作原理，站在巨人的肩膀上才能帮助我们看的更远。
sqlmap 的代码量十分庞大，因为掌握其核心设计思想和工作原理就十分重要，这会成为我们深入代码逻辑探索的风向标。因此，在了解如何获取 sqlmap 代码以及如何搭建 sqlmap 的运行环境后，我们进一步学习了 sqlmap 设计原理的相关知识，比如 sqlmap 的配置文件介绍等。
接下来，与大部分开源软件的设计思路类似，sqlmap 在真正开始工作前需要做大量的初始化工作，因此我们对 sqlmap 的初始化流程进行了梳理。经过分析，总结出它主要包含有全局变量初始化、命令行参数解析、全局变量赋值以及环境检查这四个通用的初始化步骤，然后我们又具体学习了这四个流程是如何实现的。
在学习完 sqlmap 的初始化后，很快我们就会进入 sqlmap 的工作流程学习，这时我们需要重新审视 sqlmap 的设计架构，了解我们所处的位置。
这是我整理的一幅 sqlmap 工作原理图，在本节课我们学习了 sqlmap 工作前的初始化流程，这些内容可以帮助你认识到 sqlmap 设计时的底层逻辑。下节课我们将正式开始学习 sqlmap 的自动化注入功能，它的起点是预注入，也是我们在前几节课程中所讲的起手式阶段。
思考
sqlmap 的初始化流程有什么值得改进的地方吗？
欢迎在评论区留下你的思考，我们下节课再见。
上一篇
13 | SQL注入技战法及最佳安全实践
下一篇
15 | sqlmap设计架构解析